1. Inledning

Att känna tillit till samverkande parters förmågor att hantera den information som delas enligt gällande lagar, föreskrifter och informationsklassificering möjliggör snabbare, effektivare och tryggare digitalisering.

Reell tillit, det vill säga, bevisad och i praktiken fungerande, är en grundförutsättning för ett säkert och effektivt informationsutbyte. Inom svensk offentlig förvaltning är en villkorslös tillit ofta en oskriven praxis, och inom det privata finns fragmenterade lösningar. Gemensamt är att det inte alltid finns en tydlig definition och modell som kan återanvändas. Tillit är dock alltid en central fråga och en förutsättning för informationsförsörjning av system för en högre grad av automatiserad informationshantering. En återanvändbar hantering av tillit blir därigenom en förutsättning för att möta krav på digitalisering nu och i framtiden.

Tillitshanteringen i lösningen för samordnad identitet och behörighet utformas för att ge förutsättningar för att skapa och vidmakthålla reell tillit avseende samverkande parters och infrastrukturoperatörers förmågan att dels bedriva systematiskt informationssäkerhetsarbete, dels att utforma adekvata skydd för sina tjänster och sin informationsbehandling.

När två parter behöver utbyta information är det ofta krav på att respektive sida behöver säkerställa att motparten är den den utger sig att vara, och att denne är behörig att ta del av den information som delas. Det är informationsägaren som ansvarar för att säkerställa att den part som begär information är behörig. I dessa fall krävs det säkerställd information om vilken organisation, vilket system och eventuellt vilken användare det är som begär åtkomst, samt vad som berättigar åtkomsten . Dessutom kan det krävas information om användarens tilldelade uppdrag eller roll inom organisationen. Det kan också ställas krav på att användaren har en specifik kvalifikation, eller agerar i en legitimerad eller skyddad yrkesroll. Man kan förenklat säga att det är en skala från inget behov alls till ett omfattande underlaget med hög tillförlitlighet som krävs för att ge behörighet. Var på skalan man är för en specifik åtkomst står normalt i direkt proportion till informationens känslighet och behov av skydd. 

Inom ramen för detta dokument beskrivs ett ramverk för tillitshantering. Tillitshanteringen ska skapa en struktur för bred återanvändning av gemensamma, generella och överenskomna nivåer av tillit som ska kunna tillämpas för samverkan via digitala tjänster oavsett sektor, verksamhetområde eller typ av information. Den ska ge en gemensam grund för tillit som alla kan acceptera och känna igen sig i. Detta inkluderar krav för att försäkra sig om att förmedling och hantering av identiteter och behörighetsgrundande information sker på ett säkert sätt. I dagens komplexa samverkan, där man ofta behöver hämta och behandla information från flera parter för att stödja verksamhetsbehov, behöver också tilliten kunna upprätthållas i flera led mellan alla parter som tar fram underlaget för åtkomstbeslut. 

Tillitshantering innehåller dels en tillitsmodell, dels en realisering av modellen för användning inom Samordnad identitet och behörighet. Tillitshanteringen ska möjliggöra aktiv vidareutveckling och förvaltning av tillitsmärken. När det introduceras digitala tjänster med krav som skiljer sig avsevärt från andras, ska det gå att ta fram nya tillitsmärken. När nya säkerhetshot identifieras, eller nya säkerhetsambitioner stipuleras - då ska ramverket stödja aktiv livscykelhantering för existerande tillitsmärken. Det ska vara lätt för befintliga digitala tillämpningar i samhället att relatera till tillitshanteringen inom Samordnad identitet och behörighet, samt identifiera och genomföra de eventuella förflyttningar som krävs för att kunna erbjuda tillämpningar baserat på den tillitshanteringen.

2. Tillitsmodellen

Den föreslagna modellen utgår ifrån att de olika komponenter som deltar i en samverkan med utbyte av skyddsvärd information, bidrar med olika förmågor vid hantering av metadata, identiteter och behörighetsgrundande information. En grundsten i modellen är tillitsmärken som signalerar tillit och tilldelas komponenterna efter att specifika tillitsskapande krav kopplade till tillitsmärket är uppfyllda. En komponent kan även realisera förmågor med hjälp av under- eller bakomliggande komponenter och representerar då dessa förmågor i infrastrukturen. Vilka tillitsmärken som en specifik komponent således behöver ansöka om att få tilldelade beror på vilka förmågor som den realiserar i infrastrukturen.

2.1. IAM-förmågor och tillitsbärande information

En IAM-förmåga innefattar här både en tekniska förmåga inom identitets- och behörighetsområdet och de verksamhetsprocesser som behövs för att upprätta och underhålla förmågan. IAM-förmågor realiseras av specifika tekniska komponenter och fungerar som byggstenar för tillit vid samverkan som kräver säker hantering av identiteter och åtkomstbeslut.

IAM-förmågorna skapar, behandlar, eller förmedlar information som är strukturerad och man behöver ha tillit till. De idag identifierade typerna av sådan tillitsbärande information är:

• Metadata - information om komponent, publicerad av kontrollerad och betrodd part i federationen

• Intygsbegäran - en begäran om intygande om identitet, behörighetsstyrande attribut, eller behörighet. 

• Intyg - betrodda påståenden om en fysisk användare eller systemanvändare såsom identitet, behörighetsstyrande information, eller behörighet. 
  
  

I modellen som visas i nedanstående bild och efterföljande tabell beskrivs de olika typer av tekniska komponenter, vilka IAM-förmågor de realiserar, samt hur dessa relaterar till olika typer av tillitsfull information. 

2.2. Ena tillitsmärken

Att en teknisk komponent tilldelas ett tillitsmärke innebär att komponenten (och den organisation och verksamhet som ansvarar för komponenten) uppfyller de tillitsskapande krav som krävs för att på ett tillitsfullt sätt kunna utföra eller erbjuda IAM-förmågor. För viss samverkan via digitala tjänster kan det finnas informationssäkerhetskrav som föranleder mer omfattande tillitsskapande krav och detta tänker vi oss ska representeras av nivåindelad tillitsmärkning.

Det finns två olika modeller för hur man kan kombinera tillitsmärken och tillitsnivåer. Antingen har man fristående tillitsmärken för tillitsnivån komponenter erbjuder, eller så har man nivåspecifika tillitsmärken för varje IAM-förmåga. Då vi strävar efter en så enkel modell som möjligt att hantera och administrera för parterna förordar vi i dagsläget fristående tillitsmärken för tillitsnivåer. Vi ser vidare att specifika tillitsmärken endast behövs för att deklarera en specifik (högre) tillitsnivå för hos de komponenter som tillför behörighetsgrundande information och inte för de som endast hanterar existerande information. 

Vi föreslår således tillitsmärken som mappar emot IAM-förmågor och tilldelas tekniska komponenter enligt nedanstående bild och tabell.

2.2.1. Andra tillitsmärken

Inom Ena tillitshantering så regleras endast Enas tillitsmärken enligt ovan. Man kan dock tänka sig att specifika federativa samverkanskontext väljer tillitsmärke som bärare av följsamhetsuppfyllnad av kompletterande tillitskrav samt teknisk följsamhet gentemot ett tekniskt ramverk eller en interoperabilitetsspecifikation.

Vilka möjligheter som kommer ges för andra tillitsmärken än de som Ena ansvarar för att förmedlas via Enas federationsinfrastruktur har inte beslutats om ännu. 

2.2.2. Utvikning kring tillitsnivåer

Vi föreslår att behov av en viss tillitsnivå grundar sig i klassningen av den information eller funktion som en digital tjänst behandlar. För detta utgår vi ifrån MSB:s stöd för informationsklassning (Ref: Klassningsmodell, MSB). Identitet och behörighet inom Ena är inte en del av den ursprungliga klassningen utan snarare en säkerhetsåtgärd, men det är rimligt att anta att en given klassning har likvärdiga nivåer på åtgärder och att identitet och behörighet skulle kunna skapa mer generella paketeringar och utgöra en bra grund. Det vill säga att utifrån en klassning av en verksamhets information faller säkerhetsåtgärder ut.

Vidare är det huvudsakligen områdena konfidentialitet (behörighet att ta del) och riktighet (inte kunna förändras av obehöriga) som identitet och behörighet aktivt medverkar till att lösa delar av, även om tillgängligheten är viktig så är det snarare ett krav som verksamhetssystemet eller andra nyttjare ställer på tillämpningen av identitet och behörighet och inte en aktiv del av lösningen i den bemärkelsen. Likheterna mellan konfidentialitet och riktighet avseende identitet och behörighet är att på en stigande skala ökar behovet av att säkerställa vem eller vad det är som har åtkomst till, eller förändrar informationen.

Detta kan synliggöras genom ställa upp värdena i en matris med konfidentialitet och riktighet på axlarna, där det högsta värdet styr utfallet.

Det vill säga att när antingen konfidentialiteten eller riktigheten överstiger ett visst värde så faller likvärdiga krav och säkerhetsåtgärder ut kopplat till identitet och behörighet.

https://metodstod-informationssakerhet.msb.se/globalassets/exempel-pa-matris-med-konsekvenskriterier-och-konsekvensnivaer-for-riskanalys.png

Vi föreslår att Ena baserar sina tillitsnivåer på stödet "Klassningsmatris A - Fyra nivåer" från MSB med en tolkning av nivåernas innebörd enligt tabellen nedan. 

Att omfattningen av konsekvenserna endast är ett riktmärke beror på att samma information skulle kunna ge olika klassningar hos olika aktörer, vilket inte betyder att det är fel på något sätt men det behövs en jämkning. Exempelvis om man tar en ekonomisk skada uttryckt i fasta belopp så kommer organisationens totala omsättning rimligen att styra hur betydande man anser att skadan kan bli. Medans om man uttrycker det i procent skulle man rimligen hamna mer lika. Därav att det inte kan vara mer än ett riktmärke och att dialog mellan parterna i ett större sammanhang behövs där en gemensam bedömning görs.

2.3. Tillitsskapande krav

Tillitsskapande krav kan vara av olika karaktär. Inom Enas tillitsarbete har vi identifierat fyra huvudkategorier av tillitsskapande krav:

• Organisatoriska krav
• Administrativa krav
• Fysiska krav
• Tekniska krav

Vi har genomfört en analys och sammanställning av tillitsskapande krav ställda inom federationerna Sweden Connect, Sambi, Skolfederation, SITHS och HSA. De olika federationernas tillitsskapande krav överlappar till stor del och vi har föresatt oss att skapa en nettolista av krav i Enas terminologi och anpassade för komponenter som hanterar identiteter och behörighetsgrundande information för samverkan via digitala tjänster inom Ena.

ALLA tillitsskapande krav som stipuleras av något tillitsmärke SKA finnas registrerade med unika identiteter per krav i en gemensam Ena Kravkatalog. Detta innebär att ett enskilt tillitsmärke blir en listning av identiteterna på de krav som omfattas, samt hur efterlevnadskontroll ska genomföras.

Målen med denna påbörjade men ännu inte färdiga övning är flera:

• Verksamheter som redan genomgått tillitsgranskning för någon av de genomgångna tillitsramverken ska automatiskt kunna vara kvalificerade för att bli tilldelade nödvändiga tillitsmärken och kunna etablera samverkan via digitala tjänster i Ena.
• Digitala tjänster som erbjuds inom någon av de genomgångna federationerna ska kunna erbjuda samma tjänst inom Ena till parter som är anslutna till Enas federationsinfrastruktur.
• Existerande federationer ska på sikt kunna luta sig emot Enas tillitsmärken för existerande tillgång till digitala tjänster och därmed minska samhällets totala kostnad för återkommande tillitsgranskningar.

2.4. Efterlevnadskontroll vid tilldelning och revision av tillitsmärken

En förutsättning för att känna tillit till de parter man etablerar digital samverkan med är att man känner tillit till federationens struktur och processer för tillitshantering. Inom lösningen för samordnad identitet och behörighet har vi byggt en sådan struktur. Strukturen består av: 

1. Ledningsaktören ansvarar för tillitshanteringen i sin helhet.
2. Federationsoperatörer skapar validerbara tillitskedjor för ett visst federationskontext.
3. Anslutningoperatörer ansluter parters tekniska komponenter och gör utfästelser om komponenters grundläggande metadata.
4. Tillitsmärkesägare som gör utfästelser om tillitsgrundande egenskaper hos anslutna parters tekniska komponenter, ofta baserat på någon slags efterlevnadskontroll. Efterlevnadskontrollens utformning beror på vilket tillitsmärke som ska tilldelas.
5. Tillitsmärkesutfärdare som på uppdrag av tillitsmärkesägare digital stämplar utfästelser om tekniska komponenter och tillför dessa till metadata.

Revision sker för följande relationer:

1. Ledningsaktören reviderar federationsoperatörer
2. Federationsoperatörer reviderar sina underordnade anslutningsoperatörer
3. Federationsoperatörer reviderar tillitsmärkesutfärdare för Ena-tillitsmärkena
4. Ena-tillitsmärkesägaren reviderar anslutande parter och deras tekniska komponenter

Exakt hur revisionen för punkt 1, 2 och 3 detaljeras inte exakt hur den genomförs. Vi har i det initiala arbetet med tillitshantering fokuserat på att skapa en skalbar och kostnadseffektiv tillitshantering för samverkande parter och deras tekniska komponenter via det vi kallar Ena-tillitsmärken. Vi har utgått ifrån att tilliten till de relativt få infrastrukturaktörer och -komponenter är enklare att etablera då att stora aktörer som Digg, E-hälsomyndigheten, Internetstiftelsen och Inera stå bakom dem. Krav från tillitshanteringsområdets kravkatalog kan med fördel användas i revisionen av dessa aktörer, medan mycket annat behöver regleras via avtal. 

Efterlevnadskontroll vid tilldelning och revision av Ena-tillitsmärken (punkt 4) detaljeras av Efterlevnadskontroll – Revision med AI-stöd (arbetsmaterial).

2.4.1. Anpassningar för Ena-tillitsmärkenas revision

Då Ena-tillitsmärkena är utfästelser om en ansluten parts och en specifik teknisk komponents tillitsgrundande förmågor inom informationssäkerhet kommer dessa utfästelser kräva återkommande efterlevnadskontroller. Samordnad identitet och behörighet förväntas få tusentals anslutna parter och komponenter och för att kunna etablera en kostnadseffektiv efterlevnadskontroll för Ena-tillitsmärkena krävs följande anpassningar i realiseringen av modellen:

1. Tillitsmärkesägarrollen realiseras genom en struktur som tillåter ombud.
2. Revision sker med väl utvecklat systemstöd (AI eller annan typ av expertsystem).

Ombudsstrukturen skapar behov av ytterligare revsioner - tillitsmärkesägare behöver revidera att samtliga sina tillitsmärkesombud. Inte heller denna revision detaljeras exakt hur den genomförs.

3.  Exempel på tillämpning av tillitsstrukturen

TODO Från möte 12/6 - det är bra om vi exemplifierar en eller flera tillämpningar av föreslagen struktur.

TODO Förslag på exempel - Regionmedarbetares åtkomst till NLL via Pascal enligt PoCen?